Sicurezza e privacy dei dati con un AI receptionist: la guida per le PMI

Quando affidi a un'AI le telefonate e i messaggi dei tuoi clienti, le stai dando accesso a dati sensibili: nomi, numeri, email, a volte informazioni sanitarie o finanziarie. È la domanda che ogni imprenditore dovrebbe farsi prima di firmare, e che quasi nessuno fa: dove finiscono questi dati, chi può vederli, e cosa succede se qualcosa va storto?

Nel 2026 il Garante Privacy italiano ha aumentato i controlli sui sistemi automatizzati, e l'EU AI Act è pienamente operativo. Una scelta sbagliata del fornitore non è solo un rischio tecnico: è un rischio legale e reputazionale che ricade su di te, il titolare del trattamento.

Questa guida non è marketing: è la checklist di domande che dovresti fare a qualsiasi fornitore di AI conversazionale — Nexus incluso — con la nostra risposta onesta per ognuna.

Vuoi vedere come gestiamo una conversazione reale prima ancora di parlare di contratti? Chiama la demo Studio Medico: +39 06 2019 7018. Nota cosa chiede l'AI e, soprattutto, cosa non chiede.

Perché è il tuo problema, non solo del fornitore

Sotto il GDPR, tu sei il titolare del trattamento e il fornitore di AI è il responsabile del trattamento. Tradotto: se il tuo fornitore gestisce male i dati dei tuoi clienti, la responsabilità legale — e le sanzioni, fino al 4% del fatturato — ricadono in primo luogo su di te.

Per questo la due diligence sulla sicurezza non è un lusso da grandi aziende. È esattamente ciò che ti protegge quando un cliente chiede "dove tenete i miei dati?" o quando arriva un controllo.

Le 7 domande da fare a un fornitore di AI

1. Dove sono fisicamente i server?

Perché conta: se i dati dei tuoi clienti italiani finiscono su server negli Stati Uniti o in Asia, entri nel campo minato dei trasferimenti extra-UE. Molti chatbot economici girano su infrastrutture globali senza garanzie di localizzazione.

Come rispondiamo noi: i dati dei clienti Nexus sono ospitati su server nell'Unione Europea (Azure, region italiana). Nessun trasferimento del dato conversazionale fuori dallo spazio economico europeo per il funzionamento del servizio. È un requisito di compliance che consideriamo non negoziabile.

2. I miei dati vengono usati per addestrare i modelli?

Perché conta: alcuni servizi usano le conversazioni dei clienti per allenare i loro modelli. Significa che frammenti dei tuoi dati aziendali possono "vivere" dentro un modello condiviso con altri.

Come rispondiamo noi: le conversazioni e i dati dei tuoi clienti servono a far funzionare il tuo assistente — non ad addestrare modelli condivisi. La Knowledge Base che carichi resta la tua.

3. Chi, dentro l'azienda fornitrice, può accedere ai dati?

Perché conta: "i dati sono al sicuro" non vuol dire nulla se metà del team del fornitore può leggerli. Il principio corretto è il least privilege: ognuno accede solo a ciò che gli serve.

Come rispondiamo noi: accesso ai dati su base need-to-know, separazione tra ambienti, e log degli accessi. Nessun operatore ha accesso indiscriminato alle conversazioni dei clienti.

4. Come gestite chiavi, password e segreti?

Perché conta: è la domanda tecnica che smaschera i dilettanti. Chiavi API scritte dentro il codice, password condivise via email, credenziali mai cambiate: è così che avvengono la maggior parte delle violazioni.

Come rispondiamo noi: i segreti (chiavi API, credenziali) vivono in un gestore di segreti dedicato, mai dentro il codice, e vengono ruotati periodicamente. Ogni integrazione ha la propria chiave revocabile singolarmente, così un problema circoscritto resta circoscritto.

5. Come gestite il consenso e i cookie?

Perché conta: il widget di chat sul tuo sito raccoglie dati. Senza una gestione del consenso conforme, sei tu a rischiare la sanzione del Garante, non il fornitore del widget.

Come rispondiamo noi: il widget e il tracking rispettano il Consent Mode v2 di Google e un banner cookie granulare: nessun cookie di analytics o marketing viene scritto prima del consenso esplicito dell'utente.

6. Cosa succede in caso di violazione dei dati?

Perché conta: nessun sistema è invulnerabile al 100%. La differenza tra un fornitore serio e uno improvvisato è cosa fa quando qualcosa va storto: rilevamento, contenimento rapido, e la notifica al Garante entro le 72 ore previste dal GDPR.

Come rispondiamo noi: monitoraggio continuo, aggiornamenti di sicurezza tempestivi sulle dipendenze, e una procedura di risposta agli incidenti che include la notifica nei termini di legge. La sicurezza è un processo, non una casella spuntata una volta.

7. Posso esportare e cancellare i dati?

Perché conta: il diritto all'oblio e alla portabilità sono garantiti dal GDPR. Se il fornitore rende difficile portar via o cancellare i dati, hai un problema di compliance strutturale.

Come rispondiamo noi: i tuoi dati restano tuoi. Puoi richiederne l'esportazione o la cancellazione, con tempi di conservazione definiti e non "per sempre di default".

Cosa fa un AI receptionist ben progettato (per la sicurezza)

• Minimizza i dati: chiede solo ciò che serve per completare la richiesta, non un modulo infinito.
• Trasferisce a un umano i casi che richiedono dati particolarmente sensibili, invece di raccoglierli in automatico.
• Non "inventa" informazioni e non promette ciò che non può mantenere.
• Lascia una traccia verificabile di cosa ha detto e fatto.

Cosa NON dovrebbe fare (segnali d'allarme)

• Chiedere dati sanitari o finanziari dettagliati via chat non protetta.
• Conservare le registrazioni delle chiamate a tempo indeterminato senza motivo.
• Non offrire un DPA (accordo sul trattamento dati) firmabile.
• Non sapere rispondere alla domanda 1 ("dove sono i server?").

Se un fornitore inciampa su queste, non è una questione di prezzo: è una questione di rischio.

Il nostro approccio, in una riga

Trattiamo i dati dei tuoi clienti come vorremmo fossero trattati i nostri: in Europa, minimizzati, cifrati in transito, con segreti gestiti come si deve e un processo di sicurezza continuo — non uno slogan sulla home.

Trasparenza prima di tutto: trovi i nostri principi su dati e AI nella pagina Trasparenza AI e le condizioni nel DPA e nella Privacy Policy.

Conclusione

Scegliere un AI receptionist non è (solo) una decisione di marketing: è una decisione sulla sicurezza dei dati dei tuoi clienti, di cui sei legalmente responsabile. Le 7 domande qui sopra ti servono a distinguere in 15 minuti un fornitore serio da uno che ti scaricherà il rischio addosso.

La regola d'oro: se un fornitore non sa rispondere in modo chiaro a "dove sono i server" e "come gestite le chiavi", la conversazione è già finita.

Prossimo passo: fai queste 7 domande a noi, senza filtri. Parla con il nostro team oppure guarda i piani. Se le risposte ti convincono, configuriamo il tuo assistente con la sicurezza già impostata bene dal primo giorno.

Da leggere dopo: AI receptionist per hotel · Voicebot italiano: guida per PMI · Trasparenza AI